CLOUD Act et RGPD : la portée réelle du droit américain

Le CLOUD Act est une loi américaine de 2018 qui oblige tout prestataire soumis à la juridiction des États-Unis à livrer les données de communication se trouvant en sa « possession, sous sa garde ou sous son contrôle » lorsqu’il reçoit une réquisition judiciaire américaine régulière, quel que soit le pays où ces données résident. Elle n’a créé aucun programme de surveillance nouveau. Elle a tranché une question de compétence débattue pendant des années, et elle l’a tranchée en faveur de la société plutôt que du matériel.

Toute la portée du texte tient dans cette formule — possession, garde ou contrôle. Presque tout ce que l’on comprend de travers sur le CLOUD Act et la messagerie vient du fait de la lire comme une question d’où au lieu d’une question de qui.

Que dit exactement le CLOUD Act ?

Il modifie le Stored Communications Act pour y ajouter le 18 U.S.C. § 2713, qui oblige un fournisseur de services de communication électronique ou d’informatique à distance à « conserver, sauvegarder ou divulguer le contenu d’une communication filaire ou électronique, ainsi que tout enregistrement ou autre information relatifs à un client ou à un abonné, se trouvant en la possession, sous la garde ou sous le contrôle de ce fournisseur, que cette communication, cet enregistrement ou cette information soient situés à l’intérieur ou à l’extérieur des États-Unis ».

Deux mécanismes comptent au-delà de cette phrase. Le texte a réglé l’affaire Microsoft Corp. v. United States, le contentieux portant sur des e-mails stockés dans le datacenter dublinois de Microsoft, que la Cour suprême a déclaré sans objet en avril 2018 dès lors que la nouvelle rédaction rendait la réponse explicite. Et il a ajouté une clause de courtoisie internationale permettant à un prestataire de demander l’annulation de la réquisition lorsque le titulaire du compte n’est ni ressortissant ni résident des États-Unis et que la divulgation créerait un risque sérieux de violation du droit d’un gouvernement partenaire qualifié. Cette requête est étroite, discrétionnaire, et tranchée par un tribunal américain. Ce n’est pas un bouclier autour duquel on bâtit une organisation.

La loi a également installé un cadre d’accords exécutifs permettant à des gouvernements étrangers qualifiés d’adresser leurs demandes directement aux prestataires américains. L’accord entre le Royaume-Uni et les États-Unis conclu sur cette base est entré en vigueur en octobre 2022.

L’intensité avec laquelle tout cela est employé se discute légitimement. Le champ d’application, lui, ne se discute pas vraiment.

Pourquoi un datacenter européen ne met-il pas le courrier hors d’atteinte ?

Parce que l’obligation pèse sur la personne morale, pas sur la baie. Une société de droit américain qui exploite une région européenne contrôle toujours les données qui s’y trouvent : elle détient les identifiants d’accès, les clés là où il y a des clés, et la capacité opérationnelle d’en produire une copie sur demande. Le « contrôle » du § 2713 désigne exactement cette capacité.

C’est l’idée fausse la plus coûteuse du marché, et en France elle structure tout le débat sur le cloud de confiance. « Vos données restent en Europe » est une affirmation sur la géographie, et parfois sur le contrat. Ce n’est pas une affirmation sur la juridiction. Une filiale européenne d’une maison mère américaine aboutit généralement au même endroit, parce que c’est précisément le contrôle de la mère sur la fille qui est mis à l’épreuve.

L’inverse est vrai et se dit beaucoup moins souvent. Un prestataire immatriculé dans l’Union, sans entité américaine, sans infrastructure américaine et sans société mère sous contrôle américain, n’est pas atteignable par le § 2713. Les autorités américaines doivent alors passer par l’entraide judiciaire : plus lent, consigné, avec un juge étranger dans la boucle. C’est là la différence réelle, et c’est une différence de qui, pas de où.

Qu’est-ce que cela change pour l’e-mail en particulier ?

L’e-mail est le pire cas parmi les catégories de données, pour trois raisons.

C’est dix ans de tout, conservés par défaut. Une réquisition portant sur une seule boîte est une réquisition portant sur des années de contexte que personne n’aurait fournies spontanément.

Ses métadonnées sont exceptionnellement riches et exceptionnellement moins protégées. En droit américain, les données autres que le contenu — en-têtes, adresses d’enveloppe, horodatages, journaux de connexion — s’obtiennent selon un standard moins exigeant que le contenu, et la formule « tout enregistrement ou autre information relatifs à un client » du texte les couvre nommément.

Et une boîte aux lettres est pleine des données d’autrui. L’essentiel des données personnelles de votre archive appartient à des correspondants qui n’ont jamais choisi votre prestataire. Si vous êtes responsable du traitement, leur exposition est votre responsabilité.

Le chiffrement au repos ne déplace la question que lorsque le prestataire est réellement incapable de déchiffrer. Les architectures à accès zéro, où la clé de la boîte est dérivée d’une phrase secrète que le prestataire ne voit jamais, sont une réponse matériellement différente : un texte chiffré n’a pas grande valeur pour une réquisition. Même dans ce cas, le prestataire détient ce texte chiffré, on peut donc lui ordonner de le produire et de continuer à le produire.

Comment le CLOUD Act et le RGPD s’articulent-ils ?

Mal, et formellement. L’article 48 du RGPD ne reconnaît la décision d’une juridiction ou d’une autorité d’un pays tiers exigeant le transfert de données personnelles que lorsqu’elle repose sur un accord international, tel qu’un traité d’entraide judiciaire. Une réquisition américaine adressée directement à un prestataire ne repose pas sur un tel accord. Le prestataire est pris en étau : s’il exécute, il enfreint le chapitre V ; s’il refuse, il risque l’outrage devant un tribunal américain.

Schrems II (affaire C-311/18, arrêt du 16 juillet 2020) est le même conflit abordé par l’autre bout. La Cour de justice a annulé la décision d’adéquation du Privacy Shield parce que le droit américain de la surveillance et les voies de recours ouvertes aux Européens restaient en deçà des standards de l’Union, et elle n’a maintenu les clauses contractuelles types qu’à la condition que l’exportateur apprécie, au cas par cas, si le droit du pays de destination les met en échec en pratique. Le cadre de protection des données UE–États-Unis adopté en juillet 2023 est la troisième tentative de pont d’adéquation ; ses deux prédécesseurs ont été invalidés en 2015 et en 2020.

Je suis fondateur, pas juriste, et rien de ceci n’est un conseil juridique. Ce sont un texte de loi et des arrêts publiés, et les deux méritent d’être lus dans leur version d’origine avant d’accepter le résumé de quiconque, y compris le mien.

Qu’est-ce qui sort réellement votre courrier du champ d’application ?

Le changement de l’entité qui contrôle le stockage. Pas le drapeau de la région, pas l’annexe de sous-traitance, pas la page « confiance ».

Trois questions en décident. Où est immatriculée l’entité qui détient les octets stockés ? Qui peut techniquement produire une copie lisible sans votre concours ? Et à quel compte ce stockage est-il facturé, puisque le titulaire du compte est la partie que l’on peut réquisitionner ?

La garde au niveau du stockage est la version de cette réponse qui résiste à l’examen. Quand l’archive vit dans un stockage objet sur votre propre compte, chez un opérateur que vous avez choisi, dans une juridiction que vous avez choisie, une demande portant sur votre courrier doit arriver chez vous. Vous devrez peut-être vous y conformer — personne n’est au-dessus des lois — mais vous saurez que cela s’est produit, vous pourrez la contester, et vous pourrez prévenir les personnes dont les données s’y trouvaient. Ce n’est pas une immunité. C’est une procédure contradictoire, et c’est le maximum que quiconque puisse honnêtement promettre.

Le routage est une question distincte. Les messages en transit passent chez celui qui exploite votre MX, où qu’il soit, et aucun montage de stockage n’y change rien. Ce que la garde règle, c’est la partie qui reste douze ans.